Um novo vetor de exfiltração de dados tem sido identificado por pesquisadores de segurança, onde atacantes estão utilizando endpoints de armazenamento hospedados na Cloudflare para roubar informações de redes corporativas comprometidas. A campanha, descrita como altamente sofisticada, visa organizações governamentais na Malásia e pelo menos uma empresa do setor privado, demonstrando um nível de planejamento que vai além dos ataques oportunistas comuns.
Contexto da campanha de intrusão
Analistas da OASIS Security relataram que a infraestrutura controlada pelos atacantes está hospedada em uma máquina virtual Microsoft Azure na região da Malásia Oeste. A descoberta permitiu aos pesquisadores uma janela clara sobre a operação, pois a infraestrutura continha uma grande coleção de ferramentas de ataque que não haviam sido limpas. A campanha envolveu várias etapas, desde o acesso ao banco de dados e mapeamento de rede interna até a implantação de webshells ativos e roubo de credenciais.
O que une todas essas operações é o uso de um endpoint de armazenamento da Cloudflare como destino final para os arquivos roubados. Essa técnica foi projetada para misturar o tráfego de saída com a atividade normal da nuvem, evadindo o monitoramento de rede. O impacto foi significativo, com credenciais de controlador de domínio confirmadas como roubadas, webshells ativos encontrados em pelo menos um servidor governamental e uma exploração encadeada identificada na plataforma de verificação de clientes de uma operadora de rede móvel.
Uso de serviços legítimos para evasão
Uma das partes mais inventivas da campanha foi a forma como os atacantes moveram dados roubados para fora das redes comprometidas. Um script Python chamado gen_photo_upload.py foi construído especificamente para fazer upload de arquivos exfiltrados para um endpoint de armazenamento hospedado na Cloudflare sob controle do atacante. Como a Cloudflare é amplamente confiada, o tráfego destinado a ela raramente dispara as mesmas suspeitas que conexões a servidores desconhecidos poderiam.
Essa técnica é frequentemente chamada de "viver de serviços confiados" e está se tornando mais comum entre atores de ameaças avançados. Ao rotear dados roubados através de um provedor de nuvem legítimo, o atacante fez a exfiltração de saída parecer atividade web rotineira. Para organizações que não inspecionam o tráfego de saída para domínios confiados de perto, esse canal pode passar despercebido por muito tempo.
O script fazia parte de um kit modular mais amplo, que capturava a lógica de transferência de arquivos direcionada ao endpoint de armazenamento da Cloudflare controlado pelo atacante. Cada script na coleção servia a um papel específico, formando um pipeline estruturado desde o acesso inicial até o roubo de dados.
Ferramentas personalizadas e roubo de credenciais
Um dos achados mais alarmantes foi a descoberta de código-fonte anteriormente não publicado para um gerador de beacon em C# e um controlador de comando e controle baseado em Python. O beacon, beacon.cs, e o controlador, listener_http.py, não são baseados em nenhum framework publicamente disponível, colocando este ator bem além do perfil de atacantes de mercadorias típicas.
O beacon se comunica com o listener para formar um canal de comando privado entre o atacante e qualquer host comprometido. Sua presença na infraestrutura do atacante sugere que foi usado em múltiplas operações. Um framework desenvolvido internamente como este exige expertise e recursos significativos para construir e sustentar.
No lado das credenciais, o atacante extraiu arquivos de hive do registro do Windows de pelo menos um controlador de domínio, incluindo os arquivos SAM, SECURITY e SYSTEM. Um dump NTDS confirmou que hashes de senha do Active Directory também foram levados. Com essas credenciais, o atacante detém o potencial para acesso persistente em toda a rede afetada.
Indicadores de comprometimento e mitigação
Os Indicadores de Comprometimento (IoCs) identificados incluem o endereço IP 20.17.161.118, que é uma máquina virtual Microsoft Azure controlada pelo atacante na região da Malásia Oeste. Vários scripts Python foram identificados, incluindo gen_photo_upload.py, analyze_[REDACTED].py, asset_owner_check.py, check_cophoto.py, deploy.py, shell21.py, health.php, laravel_rce.php, beacon.cs e listener_http.py.
As organizações afetadas devem remover imediatamente webshells ativos, redefinir todas as senhas de nível de domínio e revisar cuidadosamente os artefatos deixados pelo atacante para cortar qualquer acesso continuado ou futuro. A análise de tráfego de saída para serviços de nuvem conhecidos deve ser reforçada, e a detecção de scripts Python não autorizados em servidores deve ser priorizada.
Implicações para a segurança corporativa
Este incidente destaca a necessidade de monitoramento contínuo de tráfego de saída, mesmo para serviços legítimos. A segurança de rede não pode depender apenas da confiança em provedores de nuvem, pois eles podem ser explorados como canais de exfiltração. A implementação de soluções de DLP (Data Loss Prevention) e monitoramento de comportamento de rede é essencial para identificar padrões anômalos de transferência de dados.
O que os CISOs devem fazer agora
Recomenda-se a revisão imediata dos logs de firewall e proxy para identificar conexões incomuns para endpoints de armazenamento da Cloudflare. A varredura de servidores em busca dos scripts Python mencionados deve ser realizada. Além disso, a redefinição de credenciais privilegiadas e a revisão de acessos de domínio são passos críticos para conter a ameaça. A colaboração com equipes de inteligência de ameaças para atualizar regras de detecção com os IoCs fornecidos é fundamental.
Perguntas frequentes
Como identificar se minha rede foi comprometida? Procure por tráfego de saída incomum para serviços de nuvem e a presença de scripts Python não autorizados em servidores.
Qual é o risco principal? O roubo de credenciais de domínio e o acesso persistente à rede interna.
Como prevenir ataques semelhantes? Implemente monitoramento de tráfego de saída, restrinja o uso de scripts não autorizados e adote uma postura de segurança de confiança zero.